22. Оптимізація доставки оновлень (Delivery Optimization)

Інженерні налаштування та рекомендації з посилення захисту (Hardening) робочих станцій Windows 11 через хмарну платформу Microsoft Intune.

Рекомендацій: 1

Windows 11 Intune v5.0.0

22.1 Переконайтеся, що «DO Download Mode» НЕ встановлено на «HTTP blended with Internet Peering»

Рівень 1 (L1)Автоматизовано

            Оригінал:
        

Цей параметр політики визначає метод завантаження, який може використовувати Delivery Optimization завантаження оновлень Windows, програм і оновлень програм. Наступні методи є підтримується: • 0 = лише HTTP, без пирингу. • 1 = HTTP змішано з одноранговим за тим самим NAT. • 2 = HTTP змішаний із одноранговим переглядом через приватну групу. Піринг відбувається на пристроїв на тому самому сайті Active Directory (якщо існує) або в одному домені за замовчуванням. Якщо вибрано цей параметр, піринг перетинатиме NAT. Щоб створити спеціальну групу використовувати ідентифікатор групи в поєднанні з режимом 2. • 3 = HTTP, змішаний з Інтернет-пірингом. • 99 = Простий режим завантаження без пирингу. Завантаження оптимізації доставки використовує лише HTTP і не намагається зв’язатися з хмарою оптимізації доставки послуги. • 100 = Режим обходу. Не використовуйте оптимізацію доставки, замість цього використовуйте BITS. Рекомендованим станом для цього параметра є будь-яке значення, КРІМ: Увімкнено: Інтернет (3). Примітка. За умовчанням для всіх SKU, крім Enterprise, Enterprise LTSB або Education, є Увімкнено: Інтернет (3), тому для інших SKU обов’язково встановіть інше значення.

💡 Обґрунтування безпеки:

З міркувань конфіденційності та ризиків безпеки оновлення слід завантажувати лише безпосередньо від Microsoft або з довіреної машини у внутрішній мережі, яка отримала її оновлення з надійного джерела та схвалені адміністратором мережі.

⚠️ Вплив на робочий процес (Impact):

Машини не зможуть завантажувати оновлення від однорангових пристроїв в Інтернеті. Якщо встановлено Увімкнено: лише HTTP (0), увімкнено: простий (99) або увімкнено: обхід (100), машини не зможуть завантажувати оновлення з інших машин у тій же локальній мережі.

🔍 Аудит (перевірка налаштувань)

Перейдіть до наступного розташування реєстру та зверніть увагу на GUID WinningProvider.
Це значення підтверджує, для якого GUID користувача встановлено політику.

HKLM\SOFTWARE\Microsoft\PolicyManager\current\device\DeliveryOptimization:DODownloadMode_WinningProvider

Перейдіть до наступного розташування реєстру та переконайтеся, що для значення встановлено будь-яке значення
крім 3.

HKLM\SOFTWARE\Microsoft\PolicyManager\Providers\{GUID}\Default\Device\DeliveryOptimization:DODownloadMode

⚙️ Виправлення (Remediation / Налаштування)

Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Шлях каталогу налаштувань до будь-якого значення, крім HTTP, змішаного з Інтернетом Піринг: Оптимізація доставки\Режим завантаження DO

Значення за замовчуванням: Enterprise, Enterprise LTSB і Education SKU: увімкнено: LAN (1) Усі інші SKU: увімкнено: Інтернет (3)

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- deliveryoptimization#dodownloadmode 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- deliveryoptimization#dodownloadmode 3. Minimum OS CSP: Windows 10, Version 1507 and later 4. GRID: MS-00000440 `

CIS Controls: `




                    CIS Controls V8: 7.3

                    IG 1, 2, 3
                
Perform Automated Operating System Patch Management Perform operating system updates on enterprise assets through automated patch management on a monthly, or more frequent, basis.



                    CIS Controls V7: 3.4

                    IG 1, 2, 3
                
Deploy Automated Operating System Patch Management Tools Deploy automated software update tools in order to ensure that the operating systems are running the most recent security updates provided by the software vendor.


        


Потрібні інші розділи стандарту?
Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.
            

                До повного змісту CIS Microsoft Intune Benchmark →